CIRT државне управе позива на хитно ажурирање ПХП-а ради заштите интернет страница и дигиталних услуга

Министарство јавне управе – Дирекција за информациону безбједност, CIRT државне управе, позива институције, привредне субјекте, пружаоце хостинг услуга и администраторе интернет страница да без одлагања провјере верзије PHP-а које користе и примијене доступна безбједносна ажурирања.

У PHP-у, технологији на којој се заснива велики број интернет страница и дигиталних услуга, откривене су двије критичне безбједносне рањивости, означене као CVE-2026-109618 и CVE-2026-109619. Њихово искоришћавање може омогућити нападачу да без претходне пријаве на систем извршава злонамјерни код на серверу, чиме могу бити угрожени подаци и доступност услуга.

Развојни тим PHP-а објавио је 21. октобра 2026. године безбједносна ажурирања која отклањају ове двије рањивости. С обзиром на забиљежене покушаје њиховог искоришћавања, потребно је дати приоритет заштити изложених система.

На које системе се упозорење односи

Ризику су изложени сервери који користе рањиве верзије ПХП-а за обраду web захтјева. То укључује и сајтове засноване на платформама као што су WordPress, Joomla i Drupal, као и друге апликације које користе PHP.

Ажурирање самог сајта, његове платформе или додатака не значи нужно да је ажурирано и PHP окружење. Због тога је потребна провјера на нивоу сервера или код пружаоца хостинг услуге.

Верзије које садрже исправке за двије наведене рањивости

Потребно је примијенити наведену или новију верзију са одговарајућим исправкама, односно безбједносно ажурирање које обезбјеђује добављач оперативног система или хостинг платформе.

PHP 8.1 и старије верзије су ван редовне подршке. Организације које их користе треба да провјере доступност посебних исправки код добављача и без одлагања започну прелазак на подржану верзију.

Препоручене активности

1. Провјерити и ажурирати PHP на свим релевантним серверима, уз приоритет системима доступним са интернета. Након ажурирања потврдити да активно окружење користи исправљену верзију и провјерити рад услуга.
2. Од пружаоца хостинг услуге затражити потврду да је ажурирано ПХП окружење које покреће сајт.
3. Ако ажурирање није одмах могуће, примијенити привремене мјере из званичног ПХП обавјештења и размотрити ограничавање јавног приступа рањивим сервисима до примјене исправки. Привремене мјере нијесу замјена за ажурирање.
4. Уз ажурирање провјерити евиденције догађаја и системе на знаке неовлашћеног приступа. Ажурирање отклања наведене рањивости, али само по себи не уклања посљедице евентуалног ранијег упада.

Додатна препорука за администраторе

ПХП пројекат је 23. октобра објавио и додатно упозорење за ЦВЕ-2026-115560, која се јавља при специфичној комбинацији конфигурације и апликативног кода. До објаве одговарајуће исправке препоручује се привремено подешавање session.upload_progress.enabled=0, уз поновно покретање свих ПХП радних процеса. Ову препоруку треба провјерити и на већ ажурираним системима. Она допуњује претходне мјере и не замјењује обавезно ажурирање.

Правовременим ажурирањем и сарадњом институција, администратора и пружалаца услуга значајно се смањује ризик и доприноси заштити података и поузданости дигиталних услуга.

Више информација на линковима:

хттпс://тхепхп.фоундатион/блог/2026/10/21/тодаyс-пхп-сецуритy-релеасе-анд-хоw-wере-стренгтхенинг-пхп-сецуритy/?утм_соурце=цхатгпт.цом

хттпс://www.пхп.нет/арцхиве/2026.пхп#2026-10-21-5